JWTトークンの中身を表示
JWT を貼ってヘッダーとペイロードを読む — 期限、ユーザー欄、audience など。署名は検証しないので、本物か改ざんされていないかは証明できません。開発デバッグ専用；デコードしたクレームを信頼事実として扱わないでください。
表示のみ — 真正性は検証されません。信頼できないサイトに重要なシークレットを貼らないでください。
JWT は Base64URL の三段：ヘッダー、ペイロード、署名。最初の二つは誰でもデコードでき、改ざん防止はサーバーでシークレットや公開鍵による署名検証が要ります。
`exp`、`sub`、`roles` が見えるのはトークンがそう主張しているだけで、正式検証後に API が認めるかは別です。
ユーザーブラウザ由来のトークンには個人情報が含まれることがあります。スクリーンショットや共有前に伏せてください。
検査の手順
- JWT 文字列を貼り付け
- ヘッダーとペイロードの JSON を読む
- 任意：タイムスタンプツールで `exp` を変換
- セキュリティ判断をこのページだけでしない
ここで見られるもの
- ヘッダーとペイロード欄を一目で。
- 401 デバッグ時に `exp` などのクレームを確認。
- 署名チェックなし — 検査には有用、トークン有効の証明にはならない。
シナリオ
- API で 401 — `exp` は過去か？
- 環境違い — `aud` / `iss` を確認
- ワークショップで JWT 構造を教える
安全上の注意
- 長寿命の本番署名シークレットをここに貼らない。
- スクリーンショットでは個人識別子を伏せる。
- `exp` を時計時間で読むならタイムスタンプ変換と併用。
見えるもの
| 入力 | 出力 | 備考 |
|---|---|---|
| 三段 JWT | header JSON + payload JSON | 署名は表示のみ、未検証 |
| `exp` クレーム | タイムスタンプページで比較 | 期限切れか有効か？ |
JWT FAQ
- デコードできればトークンは有効？
- いいえ。署名検証なしでは、中身は未認証の主張にすぎません。
- 署名が間違っていたら？
- 本ページはヘッダー／ペイロードをまだ出すことがあります。受け入れるかはサーバーの検証だけが決めます。
- 暗号化 JWT（JWE）は？
- 暗号化トークンは復号に鍵が要り、ここでは扱えません。